Instagram密码重置事务引数据泄露担心

宣布时间 2026-01-12

1. Instagram密码重置事务引数据泄露担心


1月11日，全球多地Instagram用户陆续收到看似来自官方邮箱的意外密码重置邮件，引发大规模数据泄露担心。此次事务涉及超百万用户，网络清静公司Malwarebytes在暗网发明包括约1750万个Instagram账户敏感信息的数据集，包括用户名、电话号码、电子邮箱及地理位置等，虽未包括密码，但专家忠言该信息可能被用于网络垂纶、身份偷窃及社会工程攻击，相关数据已在地下平台流通，加剧隐私清静危害。面临质疑，Instagram母公司Meta果真否定系统遭入侵，称事务源于手艺故障导致外部职员可触发部分用户密码重置邮件，强调"系统未被攻破，账户仍清静"，并呼吁用户忽略未请求的重置邮件。然而，该诠释未能完全消除公众疑虑，尤其在缺乏详细手艺剖析的情形下，用户对账户清静仍存担心。


https://securityboulevard.com/2026/01/massive-instagram-data-scare-ties-17-5m-accounts-to-leak-but-meta-denies-breach/


2. BreachForums新版本数据泄露揭破32万用户信息


1月10日，污名昭著的黑客论坛BreachForums最新版本遭遇重大数据泄露，其用户数据库表及PGP私钥等敏感信息被果真。该论坛作为RaidForums的继任者，恒久活跃于不法数据生意、企业网络会见权限售卖等网络犯法领域，此前多次因执法行动被迫迁徙域名，甚至被质疑为执法部分诱饵。本次泄露源于一个名为"brokeedforum.7z"的压缩文件，内含三个要害文件：包括323,988条成员纪录的MyBB用户数据库表（mybb_users）、2023年7月建设的PGP私钥文件，以及关联勒索团伙ShinyHunters的文本。剖析显示，数据库表中70,296条纪录包括真实公共IP地点，可能组成用户清静隐患，但对执法部分及清静研究职员具有主要价值。值得注重的是，PGP私钥虽已泄露，但受密码� ；�，现在密码已被果真验证，保存被滥用的潜在危害。据BreachForums治理员"N/A"证实，此次泄露源自2025年8月论坛从.hn域名恢复重修时代，用户表及PGP密钥曾短暂存储于不清静文件夹，仅被下载过一次。


https://www.bleepingcomputer.com/news/security/breachforums-hacking-forum-database-leaked-exposing-324-000-accounts/


3. 伊利诺伊州IDHS近70万住民数据泄露


1月10日，近期，伊利诺伊州人类服务部（IDHS）披露一因由隐私设置设置过失导致的大规模数据泄露事务。经视察，2021年4月至2025年9月时代，约32,401名康复服务部（DRS）客户的姓名、地点、病例编号、转介泉源及受益人状态等敏感信息遭泄露 ；2022年1月至2025年9月，672,616名医疗津贴和医疗包管储备妄想受益人的地点、病例编号、生齿统计信息及妄想名称亦被泄露，但姓名未被袒露。此次事务源于IDHS家庭和社区服务司妄想与评估局在地图网站上建设的内部资源分派妄想地图被过失设置为果真可会见，这些地图本仅供内部使用，用于决议如新服务处选址等。发明误差后，IDHS连忙限制会见权限至授权员工，并开展周全数据审查。为避免类似事务，该部分已实验新清静地图政策：榨取将可识别客户信息上传至公共地图网站，且地图会见权限严酷按角色分派。同时，IDHS正通过免费电话、信用机构及联邦商业委员会（FTC）提供的诓骗警报和清静冻结信息，通知受影响小我私家及羁系机构。


https://securityaffairs.com/186745/data-breach/illinois-department-of-human-services-idhs-suffered-a-data-breach-that-impacted-700k-individuals.html


4. 德克萨斯州加油站公司Gulshan遭数据泄露


1月9日，据向缅因州总审查长办公室提交的文件披露，德克萨斯州加油站治理公司Gulshan Management Services, Inc.遭遇重大数据泄露事务，影响凌驾377,000人。该公司关联的Gulshan Enterprises在德克萨斯州运营约150家Handi Plus和Handi Stop品牌加油站及便当店，此次事务袒露了其网络清静治理的懦弱性。事务始于2025年9月下旬，Gulshan公司发明其IT系统遭未经授权会见。视察显示，攻击者通过乐成的网络垂纶攻击侵入系统，并在被发明前一连入侵长达10天。在此时代，威胁行为者不但窃取了包括姓名、联系方法、社会清静号码及驾驶执照号码等敏感小我私家信息，还安排勒索软件加密了公司系统文件，组成双重攻击。只管数据泄露规模重大，但现在尚无已知勒索软件组织果真声称对此次攻击认真。Gulshan公司在恢复历程中强调使用“已知清静的备份”重修系统，这一表述通常体现企业选择通过备份恢复而非支付赎金协商，但详细是否涉及赎金支付仍存疑。


https://www.securityweek.com/377000-impacted-by-data-breach-at-texas-gas-station-firm/


5. 夏威夷大学癌症中心遭勒索软件攻击


1月11日，夏威夷大学癌症中心2025年8月爆发勒索软件攻击，导致研究加入者社会包管号码等敏感信息泄露。然而，大学直至12月才向立法机构提交报告，远超州执法划定的20天报告限期，且报告未披露受影响项目、人数、是否支付赎金等要害信息，引发合规质疑。事务中，黑客入侵服务器加密研究文件并索要解密用度。大学虽声称通过外部网络清静团队获取解密工具并确保数据销毁，但拒绝透露详细细节，包括支付金额及怎样确认数据彻底销毁。州执法要求清静误差报告需包括受影响人数、通知副本、延迟缘故原由等，但大学报告未提及执法机构是否要求延迟，亦未诠释四个月延迟的详细缘故原由。联邦视察局明确阻挡支付赎金，以为此举会助长犯法并增添其他组织危害。此次事务中，大学妄想为受影响者提供信用监控和身份偷窃提防服务，并已接纳密码重置、装置监控软件、第三方清静评估等步伐，但详细实验效果仍存疑。


https://www.securityweek.com/hackers-accessed-university-of-hawaii-cancer-center-patient-data-they-werent-immediately-notified/


6. 新型Zero-Click攻击可使ChatGPT用户数据遭窃


1月9日，清静研究员通过BugCrowd平台于2025年9月向OpenAI报告了ChatGPT的“ZombieAgent”误差，该误差于12月中旬被修复。此次事务展现了ChatGPT在“智能体化”转型中袒露的清静危害，其新增的“毗连器”功效允许直接会见Gmail、Outlook、Google Drive等外部系统，虽提升了工具适用性，却为攻击者开发了窃取敏感数据的新途径。Bado此前已发明“ShadowLeak”手艺：通过电子邮件HTML中隐藏的白底白字或微缩字体下令，诱导“深度研究”智能体泄露Gmail收件箱数据。此类攻击使用服务器端数据窃取机制，绕过外地防御系统，且用户难以察觉。OpenAI随后增强防护，榨取ChatGPT动态修改URL，但Bado进一步发明绕过要领ZombieAgent攻击。该攻击使用预建静态URL逐字符窃取数据。攻击者结构包括牢靠URL的恶意邮件，指令ChatGPT提取敏感数据、规范名堂后，通过顺次“翻开”这些URL泄露信息。由于ChatGPT仅执行预设链接而非构建URL，乐成绕过了OpenAI的URL重写与黑名单� ；ぁ�


https://www.infosecurity-magazine.com/news/new-zeroclick-attack-chatgpt/